Riscuri specifice de securitate în mediul hibrid de cloud - manechine

Companiile care lucrează în medii hibride cloud trebuie să ia în considerare multe tipuri de riscuri de securitate și considerente de guvernanță. Înțelegerea securității este o țintă în mișcare. Educația este esențială pentru a asigura că toți cei din organizație înțeleg rolurile și responsabilitățile sale de securitate.

Riscurile de securitate a computerului

Potrivit Institutului Național de Standarde și Tehnologie (NIST), un organism de standarde guvernamentale, sistemele informatice sunt supuse multor amenințări, de la pierderi de date până la pierderea unei întregi facilități de calcul din cauza incendiului sau dezastru natural. Aceste pierderi pot proveni de la angajați de încredere sau de la hackeri.

NIST împarte aceste riscuri în următoarele categorii:

• Erori și omisiuni, inclusiv erori de date sau erori de programare

• Fraudă și furt

• Sabotaj angajat

• Pierderea suportului infrastructurii fizice

• Hackeri rău intenționați

• Cod rău intenționat

• Amenințări la adresa confidențialității personale

Riscuri de securitate cloud

Multe dintre aceleași riscuri de securitate pe care le întâmpină companiile atunci când se ocupă de propriile lor sisteme informatice se găsesc în nor, dar există câteva răsturnări importante. Alianța de securitate a cloudului (CSA), o organizație dedicată asigurării celor mai bune practici de securitate în cloud, a remarcat în publicația recentă "Ghidul de securitate pentru zone critice de concentrare în Cloud Computing" că zonele semnificative de risc de securitate operațională din cloud includ următoarele:

• Securitatea tradițională: Un mediu hibrid cloud schimbă securitatea tradițională, pentru că nu mai aveți total control. Unele dintre activele de calcul pe care le utilizați nu se află la sediul dvs. Acum, trebuie să vă asigurați că măsurile de securitate tradiționale puternice sunt urmate de furnizorul dvs. de nor.

  • Securitatea fizică acoperă securitatea echipamentelor informatice, a infrastructurii de telecomunicații și a infrastructurii de telecomunicații. CSA recomandă atât apărarea "activă și pasivă" pentru securitatea fizică.

  • Securitatea resurselor umane se ocupă de partea oamenilor din ecuație - asigurarea verificărilor de fond, a confidențialității și a segregării sarcinilor (adică cei care dezvoltă aplicații nu o operează).

  • Planurile de continuitate a activității trebuie să facă parte din orice acord privind nivelul serviciilor pentru a se asigura că furnizorul respectă acordul privind nivelul de servicii pentru operarea continuă cu dvs.

  • Planurile de recuperare în caz de catastrofe trebuie să vă asigure protejarea bunurilor (de exemplu, a datelor și a aplicațiilor).

• Manipularea incidentelor: Un mediu hibrid în cloud modifică manipularea incidentului în cel puțin două moduri. În primul rând, în timp ce este posibil să aveți control asupra propriului centru de date, în caz de incident, va trebui să lucrați cu furnizorul de servicii, deoarece furnizorul de servicii controlează cel puțin o parte din infrastructură.

  În al doilea rând, caracterul multi-chiriaș al norului face ca investigarea unui incident să fie mai complicată. De exemplu, deoarece informațiile pot fi amestecate, analiza jurnalelor poate fi dificilă, deoarece furnizorul dvs. de servicii încearcă să păstreze confidențialitatea. Trebuie să aflați modul în care furnizorul dvs. de servicii definește un incident și asigurați-vă că puteți negocia modul în care veți lucra cu furnizorul pentru a vă asigura că toată lumea este mulțumită.

• Securitatea aplicațiilor: Când o aplicație se află în cloud, este expusă oricăror amenințări la adresa securității. CSA împarte securitatea aplicațiilor în diferite domenii, inclusiv asigurarea ciclului de viață al dezvoltării software-ului în nor; autentificare, autorizare și conformitate; gestionarea identității, gestionarea autorizațiilor de aplicare, monitorizarea aplicațiilor, testarea aplicațiilor și gestionarea riscurilor.

• Criptarea și gestionarea cheilor: Criptarea datelor se referă la un set de algoritmi care pot transforma textul într-o formă numită cyphertext, care este o formă criptată de text simplu pe care părțile neautorizate nu le pot citi. Destinatarul unui mesaj criptat utilizează o cheie care declanșează algoritmul pentru a decripta datele și a le furniza în starea inițială utilizatorului. Prin urmare, puteți cripta datele și asigurați-vă că numai destinatarul vizat le poate decripta.

  În cloudul public, unele organizații ar putea fi tentate să-și cripteze toate informațiile, deoarece sunt preocupate de mișcarea cloud-ului și de cât de sigur este când este în cloud. Recent, experții din domeniu au început să ia în considerare și alte măsuri de securitate, în afară de criptare, care pot fi folosite în cloud.

• Gestionarea identității și a accesului: Gestionarea identității este un subiect foarte larg care se aplică în multe zone ale centrului de date. Scopul managementului identității este de a controla accesul la resursele de calculator, aplicații, date și servicii.

  Managementul identității se modifică semnificativ în cloud. Într-un centru de date tradițional, puteți utiliza un serviciu de directoare pentru autentificare și apoi implementați aplicația într-o zonă sigură a firewall-ului. În mod obișnuit, norul cere mai multe forme de identitate pentru a se asigura că accesul la resurse este sigur.

Cu utilizarea tot mai mare a cloud computing, tehnologiei wireless și a dispozitivelor mobile, nu mai aveți limite bine definite cu privire la ceea ce este intern și ce este extern sistemelor dvs. Trebuie să evaluați dacă există găuri sau vulnerabilități între servere, rețele, componente de infrastructură și obiective finale și apoi să le monitorizați continuu. Cu alte cuvinte, trebuie să puteți avea încredere în propria infrastructură, precum și în infrastructura furnizorului de cloud.